《应用密码学》课件第9章密钥管理技术1

现代密码学除了包括密码编码学和密码分析学两个学科之外，还包括近几年才形成的新分支——密钥密码学，它是以密钥（现代密码学的核心）及密钥管理作为研究对象的学科。密钥管理作为现代密码学的一个重要分支，就是在授权各方之间实现密钥关系的建立和维护的一整套技术和程序，也是现代密码学中最重要、最困难的部分。

密钥设计一系列的规程，包括密钥的产生、分配、存储、使用、备份/恢复、更新、撤消和销毁等环节。在现代密码学中，密钥管理作为作为提供数据保密性、数据完整性、可用性、可靠性、可审查性和不可抵赖性等安全技术的基础，在保密系统中是至关重要的。8/12/20251现代密码体制要求加密和解密算法是可以公开评估的，整个密码系统的安全性并不取决于对密码算法的保密或是对加密设备等的保护（尽管这样有利于提高整个密码系统的安全程度，但这种提高是相对而言的），而是取决于密钥的安全性，一旦密钥泄露，也就不再具有保密功能。密码算法可以公开，密码设备可以丢失，但它们都不危及密码体制的安全性；但当密钥丢失时，非法用户将有可能窃取保密信息。此外，密钥作为密码系统中的可变部分，在考虑密码系统的设计时（特别是在商用系统的设计时），需要解决的核心问题是密钥管理问题，而不是密码算法问题（例如商用系统可以使用公开了的、经过大量评估分析认为抗攻击能力比较强的算法）。由此，可以看出密钥管理在整个密码系统中是极其重要的。8/12/202529.1密钥管理概述

密钥管理是一门综合性的技术，它除了技术性的因素之外，它还与人的因素有关，例如密钥的行政管理制度以及人员的素质密切相关。再好的技术，如果失去了必要的管理支持，终将使技术毫无意义。

密码系统的安全强度总是由系统中最薄弱的环节决定的。但作为一个好的密钥管理系统应当尽量不依赖于人的因素，这不仅是为了提高密钥管理的自动化水平，最终目的还是为了提高系统的安全程度。对密钥管理系统一般应满足：

①密钥难以被非法窃取；②在一定条件下窃取了密钥也没有用；③密钥的分配和更换过程在用户看来是透明的，用户不一定要亲自掌握密钥。8/12/202539.2密钥的结构和分类为了适应密钥管理系统的要求，目前在现有的计算机网络系统和数据库系统的密钥管理系统的设计中，大都采用了层次化的密钥结构。这种层次化的密钥结构与整个系统的密钥控制关系是对应的。按照密钥的作用与类型及它们之间的相互控制关系，可以将不同类型的密钥划分为1级密钥、2级密钥、…n级密钥，从而组成一个n层密钥系统，如下图所示。密钥的结构8/12/202548/12/20255在左图中，系统使用一级密钥通过算法保护二级密钥（一级密钥使用物理方法或其他的方法进行保护），使用二级密钥通过算法保护三级密钥，以此类推，直到最后使用级密钥通过算法保护明文数据。

随着加密过程的进行，各层密钥的内容动态变化，而这种变化的规则由相应层次的密钥协议控制。在左图中，最下层的密钥也叫工作密钥，或数据加密密钥，它直接作用于对明文数据的加解密。

所有上层密钥可称为密钥加密密钥，它们的作用是保护数据加密密钥或作为其他更低层次密钥的加密密钥。最上面一层的密钥也叫主密钥，通常主密钥是整个密钥管理系统的核心，应该采用最安全的方式来进行保护。8/12/20256数据加密密钥（即工作密钥）在平时并不存在，在进行数据的加解密时，工作密钥将在上层密钥的保护下动态地产生（如，在上层密钥的保护下，通过密钥协商产生本次数据通信所使用的数据加密密钥；或在文件加密时，产生一个新的数据加密密钥，在使用完毕后，立即使用上层密钥进行加密后存储。这样，除了加密部件外，密钥仅以密文的形式出现在密码系统其余部分中）；数据加密密钥在使用完毕后，将立即清除，不再以明的形式出现在密码系统中。

8/12/20257

层次化的密钥结构意味着以密钥来保护密钥。这样，大量的数据可以通过少量动态产生的数据加密密钥（工作密钥）进行保护，而数据加密密钥又可以由更少量的、相对不变（使用期较长）的密钥加密密钥来保护。同理，在最后第二层的密钥加密密钥可以由主密钥进行保护，从而保证了除了主密钥可以以明文的形式存储在有严密物理保护的主机密码器件中，其他密钥则以加密后的密文形式存储，这样，就改善了密钥的安全性。

具体来说，层次化的密钥结构具有以下优点：

（1）安全性强：位于层次化密钥结构中的底层密钥更换得越快，最底层密钥可以做到每加密一份报文就更换一次；在少量最初处于最高层的主密钥注入系统后，下层各密钥的那样可以按照某种协议不断地变化（如可以使用安全算法以及高层密钥产生低层密钥；另外，下层密钥的泄露不会影响上层密钥的安全。（2）进一步提高了密钥管理的自动化.

从具体的功能来看，在一般的密码系统中，密钥可以分为基本密钥、会话密钥（数据加密密钥）、密钥加密密钥和主密钥。（1）基本密钥（BaseKey）：又称为初始密钥（primarykey）或用户密钥（userkey）。它是由用户选定或由系统分配给用户的，可以在较长时间内（相对于会话密钥）由一对用户（例如密钥分配中心与某一用户之间，或者两个用户之间）所专用的密钥。在某种程度上，基本密钥还起到了标识用户的作用。（2）会话密钥（SessionKey）：也称为数据加密密钥，是在一次通信或数据交换中，用户之间所使用的密钥，它可由通信用户之间进行协商得到。它一般是动态地、仅在需要进行会话数据加密时产生，并在使用完毕后立即清除（或由用户双方进行预先约定）。密钥的分类8/12/20259

会话密钥可以使大家不必很频繁地去更换基本密钥，而是通过密钥分配或者密钥协商的方法得到某次数据通信所使用的数据加密密钥这样就可以做到一次一密，从而大大提高通信的安全性，并方便密钥的管理。（3）密钥加密密钥（KeyEncryptingKey）：用来对传送的会话密钥或文件加密密钥进行加密时所采用的密钥，另外也可以称为二级密钥。密钥加密密钥所保护的对象是用来保护通信或文件数据的会话密钥或者文件加密密钥。

在通信网中，一般在每个节点都分配有一个这类密钥。同时，为了安全，各节点的密钥加密密钥应互不相同。节点之间进行密钥协商时，应用各节点的密钥加密密钥加以完成。8/12/202510（4）主密钥（MasterKey）：对应于层次化密钥结构中的最上面一层，它是对密钥加密密钥进行加密的密钥，通常主密钥都受到了严格的保护。在实际应用中，除了上述几种密钥外，还有其他类型的密钥，例如：算法更换密钥（AlgorithmChangingKey）等。如果从广义的角度来看，它的某些作用是完全可以归结为上述几类密钥的作用。8/12/2025119.3密钥管理

密钥管理涉包括管理方式、密钥的生成、使用、存储、备份与恢复、更新、销毁以及密钥的撤消等，涵盖了密钥的整个生存周期。1．管理方式层次化的密钥管理方式，用于数据加密的工作密钥需要动态产生；工作密钥由上层的加密密钥来保护，最上层的密钥成为主密钥，是整个密钥管理系统的核心。8/12/2025122．密钥的生成假如使用一个弱的密钥产生方法，那么整个系统动将是弱的。数据加密标准DES有56位密钥，正常情况下任何56位的数据串都可以成为密钥，所以共有256种可能的密钥。在具体实现中，一般仅允许使用ASCII码的密钥，并强制每一字节的最高位为零。在一些实现中甚至只将大写字母转换成小写字母，这些密钥程序使得DES的攻击难度比正常情况下低上万倍。因此，在现代加密技术中，密钥的生成方法必须高度重视。在ANSIX9.17标准中规定了一种密钥生成法，这种方法适合于在系统中产生会话密钥或伪随机数，是密码强度较高的伪随机数生成器之一，目前已经在PGP等许多应用中得到了广泛使用。

其中用来生成密钥的加密算法采用的是三重DES。设k主密钥，Wi为一个保密的64比特的随机数种子，Ti为时间戳，Ek为加密算法，见下图所示。

图中Ri=Ek(Ek(Ti)Wi)；Wi+1=Ek(Ek(Ti)Ri)

Ri为每次生成的密钥。

8/12/2025143．密钥的使用密钥的使用是指从存储介质上获得密钥进行加密和解密的技术活动。在密钥的使用过程中，要防止密钥被泄露，同时也要在密钥过了使用期更换新的密钥。例如。。。4．密钥的存储密钥的存储分为无介质、记录介质和物理介质等几种。无介质就是不存储密钥，或者说靠记忆来存储密钥。这种方法也许是最安全的，也许是最不安全的。但是一旦遗忘了密钥，其结果就可想而知了。但对于只使用短时间通信的密钥而言，也许并不需要存储密钥。记录介质就是把密钥存储在计算机等的磁盘上。当然这要求存储密钥的计算机只有授权人才可以使用，否则不是安全的，但如果有非授权的人要使用该计算机，对存储密钥的文件进行加密或许也是一个不错的选择。物理介质是指把密钥存储在一个特殊介质上，如IC卡等，显然这种物理介质存储密钥便于携带、安全、方便。5．密钥的备份与恢复由于密钥在保密通信中具有重要的地位，应尽全力对密钥进行保护密钥备份是指在密钥使用期内，存储一个受保护的拷贝，用于恢复遭到破坏的密钥。密钥的恢复是指当一个密钥由于某种原因被破坏了，在还没有被泄露出去以前，从它的一个备份重新得到密钥的过程。密钥的备份与恢复保证了即使密钥丢失，由该密钥加密保护的信息也能够恢复。密钥托管技术就能够满足这种需求的一种有效的技术。6．密钥的更新在密钥有效期快要结束时，如果需要继续对该密钥加的内容进行保护，该密钥需要由一个新的密钥来代替，这就是密钥的更新。密钥更新可以通过再生密钥来取代原有密钥的方式来实现。7．密钥的销毁密钥必须定期更换，更换密钥后原来的密钥必须销毁。密钥不再使用时，该密钥的所有拷贝都必须删除，生成或构造该密钥的所有信息也应该被全部删除。8．密钥的撤消在密钥正常的生命周期结束之前，有时需要对密钥进行撤消，比如密钥的安全受到威胁时或实体发生组织关系变动等。密钥的撤消包括撤消相应的证书。9.4密钥托管技术(略)密钥托管技术简介

密钥托管提供了一种密钥备份与恢复的途径，也称为托管加密。其目的是政府机关希望在需要时可通过密钥托管提供（解密）一些特定信息，在用户的密钥丢失或损坏的情况下可通过密钥托管技术恢复出自己的密钥。密钥托管技术的实现手段通常是把加密的数据和数据恢复密钥联系起来，数据恢复密钥不一定是直接解密的密钥，但由它可以得到解密密钥。

理论上数据恢复密钥由所信赖的委托人持有（委托人可以是政府机构、法院或有合同的私人组织）。

一个密钥也有可能被折分成多个分量，分别由多个委托人持有。8/12/202520自从这种技术出现以来，许多人对此颇有争议，他们认为密钥托管技术侵犯个人隐私。尽管如此，由于这种密钥备用与恢复手段不仅对政府机关有用，也对用户自己有用，为此许多国家都制定了相关的法律法规。

美国政府1993年4月颁布了EES标准（EscrowEncryptionStandard,托管加密标准），该标准体现了一种新思想，即对密钥实行法定托管代理的机制。该标准使用的托管加密技术不仅提供了加密功能，同时也使政府可以在实施法律许可下的监听（如果向法院提供的证据表明，密码使用者是利用密码在进行危及国家安全和违反法律规定的事，经过法院许可，政府可以从托管代理机构取来密钥参数，经过合成运算，就可以直接侦听通信。）。8/12/202521该标准的加密算法使用的是Skipjack。其后（1994年2月），美国政府进一步改进提出了密钥托管标准KES（KeyEscrowStandard）政策，希望用这种办法加强政府对密码使用的调控管理。目前，在美国有许多组织都参加了KES和EES的开发工作，系统的开发者是司法部门（DOJ），国家标准技术研究所（NIST）和基金自动化系统分部对初始的托管（Escrow）代理都进行了研究，国家安全局（NSA）负责KES产品的生产，联邦调查局（FBI）被指定为最初的合法性强制用户。8/12/202522

密钥托管技术是通过一个防窜扰的托管加密芯片（Clipper芯片）来实现，该技术包括两个主要的核心内容：（1）Skipjack加密算法是由NSA设计的，用于加解密用户之间通信的信息。它是一个对称密码分组加密算法，密钥长为80bits，输入和输出分组长度均为64bits。

该算法的实现方式采用供DES使用的联邦信息处理标准（FIPSPUB81和FIPSPUB81）中定义的4种实现方式。

这4种实现方式为：电码本（ECB）、密码分组链接（CBC）、64比特输出反馈（OFB）和1、8、16、32或64比特密码反馈（CFB）模式。密钥托管技术研究的内容8/12/202523

该算法于1998年3月公布。据密码专家们推算，如果采用价值一百万美元的机器攻破56比特的密钥需要3.5小时，而攻破80比特的密钥则需要2000年；如果采用价值十亿美元的机器攻破56比特的密钥需要13秒，而攻破80比特的密钥则需要6.7年。虽然一些密码学家认为Skipjack有陷门，但对目前任何已知的攻击方法还不存在任何风险，该算法可以在不影响政府合法监视的环境下为保密通信提供加密工具。

（2）LEAF（LawEnforcementAccessField，法律实施访问域）通过这个访问域，法律实施部门可以在法律授权的情况下，实现对用户之间通信的监听（解密或无密钥）。这也看成是一个“后门”。8/12/202524-密钥托管技术的具体实施该密钥托管技术具体实施时有3个主要环节：生产托管Clipper芯片、用芯片加密通信和无密钥存取。（1）生产托管Clipper芯片Clipper芯片主要包含：Skipjack加密算法、80比特的族密钥KF（FamilyKey，同一芯片的族密钥相同）、芯片单元标识符UID（UniqueIdentifier）、80比特的芯片单元密钥KU(UniqueKey，由两个80比特的芯片单元密钥分量(KU1，KU2)异或而成）和控制软件。以上这些内容都是固化在Clipper芯片上。8/12/202525（2）用芯片加密通信通信双方为了通信，都必须有一个装有Clipper芯片的安全防窜扰设备，该设备主要实现建立安全信道所需的协议，包括协商或分配用于加密通信的80比特秘密会话密钥KS。（3）无密钥存取在需要对加密的通信进行解密监控时（即在无密钥且合法的情况下），可通过一个安装好的同样的密码算法、族密钥KF和密钥加密密钥K的解密设备来实现。由于被监控的通信双方使用相同的会话密钥，解密设备不需要都取出通信双方的LEAF及芯片的单元密钥，而只需取出被监听一方的LEAF及芯片的单元密钥。

8/12/202526对于每个数据加密密钥，S或R都有可能要求DRC或KEC有一次相互作用，其中对数据加密密钥要求DRC与KEC之间的联系是在线的，以支持当每次会话密钥改变时的实时解密。

如果托管代理机构把部分密钥返回给DRC时，DRC必须使用穷举搜索以确定密钥的其余部分。此外，DRC还使用技术、操作和法律等保护手段来控制什么是可以解密的，比如可以对数据恢复进行严格的时间限制。这些保护措施提供了KEC传送密钥时所要求的限制，而且认证机构也可以防止DRC用密钥产生伪消息。8/12/202527密钥托管是具有备份解密密钥的加密技术，它允许获得授权者（包括用户、民间组织和政府机构）在特定的条件下，借助于一个以上持有数据恢复密钥可信赖的委托人的支持来解密密文。

所谓数据恢复密钥，它不同于常用的加密、解密密钥，它只是为确定数据加密/解密提供了一种方法。而所谓密钥托管就是指存储这些数据恢复密钥的方案。密钥托管在逻辑上分为3个主要的模块（如上图所示）：USC（UserSecurityComponent，用户安全模块）、KEC（KeyEscrowComponent，密钥托管模块）和DRC（DataRecoveryComponent，数据恢复模块）。这些逻辑模块是密切相关的，对其中的一个设计将影响着其他模块。密钥托管系统的组成8/12/202528下图所示的是这几个模块的相互关系：USC用密钥K加密明文，并且在传送的同时传送一个数据恢复域DRF（DataRecoveryField），DRC则从KEC提供的和DRF中包含的信息中恢复出密钥K来解密密文。8/12/2025291)USC（UserSecurityComponent，用户安全模块）USC由软件、硬件组成（一般情况下，硬件比软件安全、不易发生窜扰），提供数据加密/解密的能力，执行支持数据恢复的操作，同时也支持密钥托管。这种支持体现在将数据恢复域（DRF）附加到数据上。USC的功能表现在以下几个方面：

（1）提供具有数据加解密能力的算法及支持密钥托管功能的硬件或相关软件。（2）提供通信（包括电话、电子邮件及其他类型的通信，由相关部门在法律许可的条件下对通信的监听后并执行对突发事件的解密）和数据存储的密钥托管。8/12/202530（3）提供突发解密的识别符（包括用户或USC的识别符、密钥的识别符、KEC或托管代理机构的识别符）和密钥（包括属于芯片单元密钥KEC所使用的全局系统密钥，密钥还可以是公钥或私钥，私钥的备份以托管的方式由托管机构托管）。当用密钥K加密时，USC必须将密文和密钥与一个或多个数据恢复密钥建立起联系，比如在加密数据上加一个DRF，以建立用户（收发双方）托管代理机构和密钥K的密钥联系。

DRF一般由一个或多个数据恢复密钥（如KEC的主密钥、产品密钥、收发双方的公钥等）加密的K组成。

此外，DRF还包括一些识别符（用于标识数据恢复密钥、托管代理机构或KEC、加密算法及运行方式、DRF的产生方法等）和托管认证符（用于验证DRF的完整性）。8/12/2025312)KEC（KeyEscrowComponent，密钥托管模块）

可以作为公钥证书密钥管理系统的组成部分，也可以作为通用密钥管理的基础部分。它由密钥管理机构控制，主要用于向DRC提供所需的数据和服务，管理着数据恢复密钥的存储、传送和使用。

数据恢复密钥主要用于生成数据加密密钥，因此在使用托管密码加密时，所有的托管加密数据都应与被托管的数据恢复密钥联系起来。

数据恢复密钥主要由以下内容组成：

（1）密钥选项：包括数据加密密钥（由会话密钥和文件加密密钥组成，可以由KDC产生、分配和托管）、产品密钥（每一个USC只有惟一的产品密钥）、用户密钥（用于建立数据加密密钥的公钥和私钥，KEC可以担任用户的公钥证书机构，为用户发放公钥数字证书）、主密钥（与KEC相关，可由多个USC共享）。8/12/202532

（2）密钥分割：一个数据恢复密钥可以分割成多个密钥分量，每个分量由一个托管代理机构托管。在密钥恢复时，就需要全部密钥托管机构参与或采用（n,k）门限方案。密钥分割应保证所有托管机构或其中一些联合起来能恢复数据的密钥恢复。（3）密钥的产生和分配：数据恢复密钥可以由KEC或USC产生。USC产生的密钥可使用可验证的密钥分割方案分割并托管，使得托管代理机构在不知数据恢复密钥的情况下验证自己所托管的密钥分量是否有效。数据恢复密钥可以由KEC和USC联合产生。密钥的产生应使得用户不能够在被托管的密钥中隐藏另一密钥。（4）密钥托管时间：密钥托管可在产品的生产、系统或产品的初始化阶段或用户注册阶段进行。假如托管的是用户的私钥，则可在将相应的公钥加入到公钥基础设施并发放公钥证书时进行托管。USC只能把经托管机构签署了公钥证书的那些用户发送已加密的数据。8/12/202533（5）密钥更新：某些系统可能会允许数据恢复密钥，但只能按规则进行。（6）密钥的全部和部分：某些系统托管的是密钥的一部分，在数据恢复密钥时，未托管的部分可使用穷举搜索法来确定。（7）密钥存储：在线或不在线都可以存储密钥。

KEC在向DRC提供诸如托管的密钥等服务时，服务包括如下部分：

（1）授权过程：对操作或使用DRC的用户进行身份认证和对访问加密数据的授权证明。

（2）传送数据恢复密钥（主密钥不提供）：如果数据恢复密钥是会话密钥或产品密钥，KEC向DRC直接传送数据恢复密钥。密钥传送时和有效期一起传送，有效期过后，密钥将被自动销毁。8/12/202534

（3）传送派生密钥：KEC向DRC提供由数据恢复密钥导出的另一密钥（派生密钥）。比如受时间限制的密钥，被加密的数据仅能在一个特定的有效时间段内被解密。（4）解密密钥：如果在DRF中使用主密钥加密数据加密密钥时，KEC只向DRC发送解密密钥，而不发送主密钥。（5）执行门限解密：每个托管机构向DRC提供自己的解密结果，由DRC合成这些结果并得到明文。（6）数据传输：KEC和DRC之间的数据传输可以是人工的也可以是电子的。此外，KEC还应对托管的密钥提供保护以防其泄露或丢失，保护手段可以是技术的、程序的或法律的。例如，可采用校验、任务分割、秘密分割、物理安全、密码技术、冗余度、计算机安全和托管体制等措施。8/12/2025353)DRC（DataRecoveryComponent，数据恢复模块）由算法、协议和设备组成。DRC利用KEC所提供的和在DRF中包含的信息中恢复出数据加密密钥，进而解密密文，得到明文。仅仅在执行指定的已授权的数据恢复时使用。为了解密数据，DRC必须采用下列方法来获得数据加密密钥：从发送方S或接收方R接入。

首先要确定与S或R相关的数据恢复密钥能否恢复密钥K。如果只能利用S的托管机构持有的子密钥才能获得K，当各个用户分别向专门的用户传送消息，尤其是在多个用户散布在不同的国家或使用不同的托管机构时，DRC一定得获取密钥托管数据后才能进行实时解密；

相反，当只有利用R的托管机构所持的子密钥才能获得K时，就不可能实时解密专门用户传送出的消息。

如果利用托管机构的子集所持的密钥也可以进行数据恢复，那么一旦获得了K，则DRC就可以实时解密从USC发出或送入的消息。该系统就可以为双向实时通信提供这种能力，但这要求通信双方使用相同的K。8/12/2025369.5密钥协商与密钥分配9.5.1密钥协商

密钥协商实际上是一个协议，它通过两个或多个成员在一个公开的信道上通信联合地建立一个秘密密钥。一般情况下。一个密钥协商方案的密钥是某个函数的值，其输入量由通信双方提供，协商过程是由一系列顺序步骤完成的。8/12/2025371．Diffie-Hellman密钥交换协议Diffie-Hellman密钥交换协议是第一个被提出的密钥协商方案，是美国斯坦福大学的W.Diffie和M.E.Hellman于1976年提出的，它是第一个发表的公钥密码体制。Diffie-Hellman算法的惟一目的就是使两个用户能安全地交换密钥，从而得到一个共享的会话密钥（秘密密钥）。需要注意的是该算法本身不能用于加、解密。Diffie-Hellman密钥交换协议在Diffie-Hellman这种体制（基本模式）下（如下页图9-4所示），如果主动攻击者C截获一对通信用户A和B之间的消息，然后用自己的消息代替它们（如下页图9-5所示）。

在协议结束时，用户A、B与攻击者C之间将分别形成各自的新密钥：

当用户A加密一个消息打算发给B时，攻击者C就能够进行解密（而用户B却无法解密；同理，当用户B发送一个加密消息给用户A时，将发生类似的情况）。图4Diffie-Hellman密钥交换协议的基本模式图5有攻击的Diffie-Hellman密钥交换协议显然，用户A与用户B必须能够确认所形成的密钥正是在两者之间形成的，而不是与其他人（如攻击者）共同建立的。这样，在密钥建立的时候，密钥协商协议就需要同时认证参加者的身份（身份识别过程必须与密钥协商过程紧密结合，以避免在身份识别过程后仍然有可能被人获取密钥而产生